Accordo sul trattamento dei dati (DPA) di ScanLead

Versione del 13 ottobre 2026.

Preambolo

Il presente Accordo sul trattamento dei dati (di seguito il „DPA") integra le Condizioni Generali di Utilizzo e Vendita di ScanLead (le „Condizioni") e si applica di pieno diritto qualora l'Utente (il „Cliente") utilizzi il Servizio per trattare dati personali relativi a terzi (ad esempio, visitatori di fiere professionali di cui acquisisce i dati di contatto).

In caso di conflitto tra il presente DPA e le Condizioni in materia di trattamento dei dati personali, prevale il DPA.

Il presente DPA mira ad attuare i requisiti dell'articolo 28 del Regolamento Generale sulla Protezione dei Dati 2016/679 („GDPR").

1. Parti

• Il Cliente: persona fisica o giuridica titolare di un account ScanLead, che agisce in qualità di titolare del trattamento ai sensi dell'articolo 4, paragrafo 7 GDPR.
• Il Responsabile: Quantum Liquid LLC, società di diritto del Wyoming, con sede legale al 30 N Gould St, Sheridan, WY 82801, Stati Uniti d'America, che gestisce il Servizio ScanLead, che agisce in qualità di responsabile del trattamento ai sensi dell'articolo 4, paragrafo 8 GDPR.

2. Oggetto, durata, natura e finalità del trattamento

2.1 Oggetto

Il Responsabile tratta i dati personali per conto del Cliente al solo fine di fornire il Servizio ScanLead, come definito nelle Condizioni.

2.2 Durata

Il presente DPA entra in vigore alla data di accettazione delle Condizioni da parte del Cliente e resta in vigore per tutta la durata dell'Abbonamento, aumentata dei periodi di restituzione e cancellazione previsti dall'articolo 11.

2.3 Natura del trattamento

Raccolta, registrazione, organizzazione, strutturazione, conservazione, adattamento, estrazione, consultazione, comunicazione mediante trasmissione, limitazione, cancellazione, backup.

2.4 Finalità

Consentire al Cliente di acquisire, memorizzare, organizzare, esportare e sincronizzare verso i propri strumenti di terzi (CRM, fogli di calcolo) dati di contatto forniti da persone fisiche incontrate in occasione di fiere professionali.

3. Categorie di dati e categorie di interessati

3.1 Categorie di dati

• Nome, cognome.
• Società e ruolo.
• Indirizzo e-mail professionale.
• Numero di telefono professionale.
• Note libere inserite dal Cliente.
• Fotografie di biglietti da visita.
• Data, ora e luogo (nome della fiera) dell'acquisizione.

Non è trattata alcuna categoria particolare di dati ai sensi dell'articolo 9 GDPR. Il Cliente si impegna a non introdurre tali categorie nel Servizio.

3.2 Categorie di interessati

• Visitatori ed espositori di fiere professionali.
• Contatti professionali i cui dati sono forniti al Cliente in un contesto commerciale o istituzionale.

4. Obblighi del Responsabile

Ai sensi dell'articolo 28, paragrafo 3 GDPR, il Responsabile si impegna a:

4.1 Istruzioni documentate

Trattare i dati personali unicamente su istruzione documentata del Cliente, anche per quanto riguarda i trasferimenti verso paesi terzi. Le Condizioni, le impostazioni dell'account, l'utilizzo dell'interfaccia e le richieste formali inviate a support@scanlead.io costituiscono istruzioni documentate. Qualora un'istruzione costituisca a giudizio del Responsabile una violazione del GDPR o di altre disposizioni dell'Unione o di uno Stato membro, il Responsabile ne informa immediatamente il Cliente.

4.2 Riservatezza

Assicurarsi che le persone autorizzate a trattare i dati siano soggette a un obbligo di riservatezza (contrattuale o legale) e ricevano la formazione necessaria.

4.3 Sicurezza

Attuare le misure tecniche e organizzative descritte nell'Allegato II, conformemente all'articolo 32 GDPR.

4.4 Ulteriori responsabili

Ricorrere a ulteriori responsabili unicamente alle condizioni dell'articolo 5 del presente DPA.

4.5 Assistenza al Cliente

Assistere il Cliente, con misure tecniche e organizzative adeguate, nel:

• Riscontro delle richieste di esercizio dei diritti degli interessati (articoli da 15 a 22 GDPR).
• Rispetto degli obblighi in materia di sicurezza, notifica delle violazioni, valutazione d'impatto e consultazione preventiva (articoli da 32 a 36 GDPR).

4.6 Notifica delle violazioni

Notificare al Cliente qualsiasi violazione di dati personali nel minor tempo possibile, e comunque entro 72 ore dalla presa di conoscenza, fornendo ogni informazione utile per consentire al Cliente di rispettare, se del caso, i propri obblighi di notifica alle autorità di controllo e agli interessati.

4.7 Restituzione o cancellazione

Al termine della prestazione, restituire o cancellare i dati secondo l'articolo 11 del presente DPA.

4.8 Documentazione e audit

Mettere a disposizione del Cliente tutte le informazioni necessarie a dimostrare il rispetto degli obblighi dell'articolo 28 GDPR e consentire la realizzazione di audit alle condizioni dell'articolo 8 del presente DPA.

5. Ulteriori responsabili

5.1 Autorizzazione generale

Il Cliente autorizza il Responsabile a ricorrere agli ulteriori responsabili elencati nell'Allegato I.

5.2 Nuovi responsabili

Qualsiasi modifica sostanziale dell'elenco (aggiunta o sostituzione) è notificata al Cliente con almeno 30 giorni di anticipo rispetto alla sua attuazione. Il Cliente dispone di 30 giorni per opporsi per motivi legittimi e ragionevoli. In caso di opposizione, il Responsabile può proporre un'alternativa; in mancanza, il Cliente può recedere dal proprio Abbonamento.

5.3 Obblighi imposti agli ulteriori responsabili

Il Responsabile conclude con ciascun ulteriore responsabile un contratto scritto che gli impone obblighi di protezione dei dati equivalenti a quelli del presente DPA. Il Responsabile resta pienamente responsabile dell'esecuzione da parte dell'ulteriore responsabile dei suoi obblighi.

6. Diritti degli interessati

Il Responsabile mette a disposizione del Cliente funzionalità che consentono di rispondere alle richieste degli interessati: accesso, rettifica, cancellazione, portabilità, limitazione, opposizione, e consente in particolare l'esportazione o la cancellazione di un Lead dall'interfaccia.

Qualora un interessato si rivolga direttamente al Responsabile, quest'ultimo trasmette la richiesta al Cliente nel minor tempo possibile, senza rispondere direttamente salvo istruzione contraria.

7. Trasferimenti internazionali

7.1 Hosting principale

L'applicazione è ospitata da Vercel: viene eseguita a Francoforte (Germania) e le pagine e i file statici sono distribuiti tramite la sua rete globale. Il database principale (account, fiere, Lead) è ospitato da Neon a Francoforte (Germania). L'autenticazione degli account e i backup giornalieri del database sono ospitati presso Supabase, nell'Unione europea, a Parigi (Francia).

7.2 Trasferimenti verso gli Stati Uniti

Il Responsabile ha sede negli Stati Uniti. I dati trattati dal Responsabile stesso (a fini di supporto o amministrazione) e da alcuni ulteriori responsabili (Vercel, Neon, Stripe, Resend, PostHog) sono oggetto di trasferimenti disciplinati dalle Clausole Contrattuali Tipo adottate dalla Commissione europea con decisione 2021/914 del 4 giugno 2021, Modulo 2 (da titolare a responsabile) o Modulo 3 (da responsabile a responsabile), incorporate per riferimento nel presente DPA.

Nelle CCT sono considerate scelte le seguenti opzioni:

• Clausola 7 (clausola di adesione): applicabile.
• Clausola 9: Opzione 2 (autorizzazione generale) con preavviso di 30 giorni.
• Clausola 11: meccanismo di risoluzione delle controversie da parte di un'autorità di controllo e di un tribunale europei, senza arbitrato.
• Clausola 17: diritto applicabile della Repubblica d'Irlanda.
• Clausola 18: giurisdizione dei tribunali d'Irlanda.
• Allegato I.A: Cliente come esportatore, Responsabile come importatore.
• Allegato I.B: si vedano gli articoli 2 e 3 del presente DPA.
• Allegato II: si veda l'Allegato II del presente DPA.
• Allegato III: ulteriori responsabili elencati nell'Allegato I del presente DPA.

Una valutazione d'impatto sul trasferimento (Transfer Impact Assessment) è disponibile su richiesta a support@scanlead.io.

8. Audit

Il Cliente può, una volta ogni dodici mesi, a proprie spese e previo ragionevole preavviso di almeno 30 giorni, realizzare o far realizzare da un terzo indipendente vincolato alla riservatezza un audit volto a verificare il rispetto da parte del Responsabile degli obblighi del presente DPA.

Il Responsabile può soddisfare il proprio obbligo fornendo i rapporti di audit o le certificazioni riconosciute (SOC 2, ISO 27001) ottenuti per i propri ulteriori responsabili o per il proprio sistema informativo.

In caso di audit in loco, questo non potrà perturbare le operazioni del Responsabile. Le modalità precise (ambito, calendario, auditor) sono concordate preventivamente tra le Parti. Le autorità di controllo competenti dispongono di un diritto di accesso diretto nei limiti del GDPR.

9. Responsabilità

La responsabilità del Responsabile ai sensi del presente DPA è disciplinata dalle disposizioni dell'articolo 10 delle Condizioni, senza che le limitazioni ivi previste ostacolino la responsabilità solidale prevista dall'articolo 82 GDPR nei confronti degli interessati.

10. Durata e risoluzione

Il presente DPA resta in vigore fintanto che il Responsabile tratta dati personali per conto del Cliente. Termina automaticamente alla cessazione del rapporto contrattuale, fatti salvi gli obblighi di restituzione e cancellazione.

11. Restituzione o cancellazione al termine della prestazione

Al termine della prestazione, ossia alla chiusura dell'account del Cliente, il Responsabile:

• Rende disponibile per 30 giorni una funzione di esportazione in formato CSV e XLSX che consente al Cliente di recuperare l'insieme dei propri dati.
• Cancella definitivamente i dati al termine di tale periodo, così come i backup entro un ulteriore termine massimo di 30 giorni, salvo obbligo legale di conservazione.
• Fornisce su richiesta un attestato di cancellazione.

12. Comunicazioni

Qualsiasi comunicazione ai sensi del presente DPA è inviata a support@scanlead.io per il Responsabile e all'indirizzo e-mail associato all'account per il Cliente.

13. Legge applicabile e foro competente

Le disposizioni delle Condizioni relative alla legge applicabile e al foro competente si applicano al presente DPA. Le Clausole Contrattuali Tipo conservano il proprio regime.

Allegato I: ulteriori responsabili autorizzati

Allegato II: misure tecniche e organizzative di sicurezza

II.1 Riservatezza

• Cifratura dei dati in transito (TLS 1.2 minimo) e a riposo (AES-256).
• Isolamento dei dati tra Spazi di lavoro tramite Row Level Security in Postgres.
• Autenticazione a due fattori disponibile per tutti gli account.
• Politica di password rigorosa, con memorizzazione in forma di hash con salt.
• Controllo degli accessi basato sui ruoli per il personale del Responsabile.
• Impegni scritti di riservatezza per qualsiasi persona con accesso ai dati.

II.2 Integrità

• Controlli di integrità a livello applicativo e registrazione dei log.
• Revisioni obbligatorie del codice prima della messa in produzione.
• Ambienti di test isolati dalla produzione.

II.3 Disponibilità e resilienza

• Ogni giorno un backup completo del database, compresso, conservato 30 giorni in uno spazio privato presso Supabase (Parigi), poi eliminato.
• Ridondanza dell'infrastruttura di hosting.
• Piano di ripristino documentato, obiettivo RTO di 24 ore.

II.4 Resilienza e procedure di test

• Test di intrusione annuali.
• Analisi continua delle vulnerabilità.

II.5 Gestione degli incidenti

• Procedura documentata di risposta agli incidenti.
• Reperibilità tecnica.
• Comunicazione al Cliente entro un massimo di 72 ore in caso di violazione.

II.6 Governance

• Registro delle attività di trattamento conformemente all'articolo 30, paragrafo 2 GDPR.
• Politica interna di protezione dei dati.
• Formazione periodica del personale.